[论文解读] Application of Cybernetics and Control Theory for a New Paradigm in Cybersecurity

Michael D. Adams, Seth Hitefield+3 more|arXiv (Cornell University)|Nov 1, 2013

Earth Systems and Cosmic Evolution参考文献 14被引用 12

一句话总结

本文提出了一种非平稳的网络控制论框架，用于网络安全，该框架利用控制理论、反馈回路和系统原理来破坏网络攻击周期。通过在虚拟化、可回滚的环境中实现系统的动态不可预测性和自恢复能力，该方法在保持系统稳定性的同时，实现了对持续性攻击的弹性防御。

ABSTRACT

A significant limitation of current cyber security research and techniques is its reactive and applied nature. This leads to a continuous 'cyber cycle' of attackers scanning networks, developing exploits and attacking systems, with defenders detecting attacks, analyzing exploits and patching systems. This reactive nature leaves sensitive systems highly vulnerable to attack due to un-patched systems and undetected exploits. Some current research attempts to address this major limitation by introducing systems that implement moving target defense. However, these ideas are typically based on the intuition that a moving target defense will make it much harder for attackers to find and scan vulnerable systems, and not on theoretical mathematical foundations. The continuing lack of fundamental science and principles for developing more secure systems has drawn increased interest into establishing a 'science of cyber security'. This paper introduces the concept of using cybernetics, an interdisciplinary approach of control theory, systems theory, information theory and game theory applied to regulatory systems, as a foundational approach for developing cyber security principles. It explores potential applications of cybernetics to cyber security from a defensive perspective, while suggesting the potential use for offensive applications. Additionally, this paper introduces the fundamental principles for building non-stationary systems, which is a more general solution than moving target defenses. Lastly, the paper discusses related works concerning the limitations of moving target defense and one implementation based on non-stationary principles.

研究动机与目标

• 解决当前网络安全研究的被动性，即在漏洞被利用后才修补已知缺陷。
• 通过将移动目标防御建立在理论化的网络控制论原理之上，而非直觉之上，克服其局限性。
• 基于系统理论、控制理论和反馈机制，建立网络安全的基础科学。
• 实现对攻击者本质上不可预测的系统，同时保持内部稳定性和操作完整性。
• 将非平稳系统设计作为移动目标防御的推广，以实现更强的弹性。

提出的方法

• 应用网络控制论——整合控制理论、系统理论、信息论和博弈论——作为网络安全的统一框架。
• 设计具有动态非平稳行为的系统，以防止攻击者建立稳定的扫描或利用通道。
• 实施一个虚拟化、加固的虚拟机监控器（hypervisor）环境，将不受信任的访问（如网页浏览）与受信任的网络隔离开来。
• 采用可回滚的虚拟机架构，在检测到异常或恶意行为时自动恢复到干净状态。
• 在主机与客户机系统之间建立反馈回路，实现实时监控、检测和响应威胁。
• 通过约束输入并保持受控、安全的运行状态，确保系统内部稳定性，即使在外部干扰下也能维持。

实验结果

研究问题

• RQ1 如何将网络控制论原理应用于设计内在更具弹性的网络安全系统？
• RQ2 非平稳性在扰乱攻击者侦察和利用周期中起到什么作用？
• RQ3 虚拟化环境中反馈机制是否能增强系统弹性，超越传统的修补和检测方法？
• RQ4 基于理论而非直觉的非平稳系统如何优于基于直觉的移动目标防御？
• RQ5 构建对攻击者不可预测但对用户保持稳定的可信系统，其理论基础是什么？

主要发现

• 不断改变其逻辑配置和状态的非平稳系统，比静态系统或仅移动目标的系统更能有效扰乱攻击者。
• 使用可回滚的虚拟化客户机环境与加固的虚拟机监控器，可实现对入侵的自动恢复，消除恶意软件的持久性。
• 主机与客户机系统之间的反馈回路可实现实时异常检测与系统恢复，显著增强弹性。
• 所提出的架构防止了受信任网络与不受信任环境之间的直接通信，从而减小了攻击面。
• 通过将用户操作与主机系统解耦，该方案在提升对攻击者不可预测性的同时，维持了系统稳定性。
• 该方法表明，安全并非通过消除漏洞实现，而是通过动态自调节行为使攻击无法实施。